סריקות אבטחה וחולשות על המערכת

אני רוצה להוסיף למערכת שלי פיצ׳ר מלא של Security & Diagnostics — מרכז סריקות אבטחה ודיאגנוסטיקה למערכת.

המטרה:
לבנות עמוד/אזור ניהולי שמאפשר למנהלי מערכת להריץ סריקות אבטחה, לבדוק הרשאות, Entities, משתמשים, תצורת מערכת, לוגים, אנומליות בסיסיות, ולקבל Prompt מוכן להעתקה לצ׳אט לצורך Codebase Security Audit עמוק.

הפיצ׳ר צריך להיות דומה לעיצוב המצורף:
כרטיס לבן גדול עם פס כתום בצד, כותרת Security & Diagnostics עם אייקוני מגן, כפתור כתום להרצת סריקה, חלון Terminal שחור עם לוגים ירוקים, ומתחתיו אזור Prompt כהה להעתקה לצ׳אט.

שפה וכיוון:
- הממשק בעברית וב־RTL.
- כותרות באנגלית מותרות עבור Security & Diagnostics ו־Codebase Audit Prompt.
- כל ההסברים למשתמש בעברית.
- להשתמש ב־React, Tailwind CSS ו־shadcn/ui.
- להשתמש באייקונים מ־lucide-react בלבד.
- עיצוב רספונסיבי מלא למובייל ודסקטופ.
- תמיכה ב־dark mode אם קיימת במערכת.

הרשאות:
- הפיצ׳ר מיועד למנהלי מערכת בלבד.
- רק משתמש עם role="admin" או system_role="admin" יכול לראות ולהשתמש בפיצ׳ר.
- משתמש שאינו admin לא יראה את האזור בכלל.
- כל פעולות הסריקה חייבות להתבצע דרך backend function.
- אין להסתמך רק על בדיקת frontend — גם ה־backend function חייב לבדוק הרשאות admin.
- אין ליצור Login page.

יש ליצור Entity בשם SecurityLog אם לא קיים:

SecurityLog fields:
- scan_id: string
- scan_type: enum:
  - full
  - entities
  - users
  - permissions
  - configuration
  - diagnostics
- status: enum:
  - running
  - completed
  - failed
- severity: enum:
  - info
  - low
  - medium
  - high
  - critical
- summary: string
- findings: array of objects:
  - category: string
  - title: string
  - description: string
  - severity: string
  - recommendation: string
  - affected_entity: string
- logs: array of objects:
  - timestamp: string
  - level: enum info / warning / error / success
  - message: string
- prompt_output: string
- scanned_by_email: string
- scanned_by_name: string
- started_at: date-time
- completed_at: date-time
- metadata: object

הרשאות Entity:
- read: admin בלבד
- write: admin בלבד

יש ליצור backend function בשם:
functions/runSecurityAudit.js

דרישות backend:
- להשתמש ב:
  import { createClientFromRequest } from 'npm:@base44/sdk@0.8.25';
- להשתמש ב־Deno.serve.
- לאמת משתמש עם base44.auth.me().
- אם המשתמש לא admin לפי role או system_role להחזיר 403.
- להשתמש ב־base44.asServiceRole רק אחרי בדיקת admin.
- הפונקציה תקבל payload:
{
  "scan_type": "full"
}

ברירת מחדל:
scan_type = "full"

הפונקציה צריכה לבצע סריקות בסיסיות על המערכת:

1. בדיקת משתמשים והרשאות:
- לשלוף Users אם אפשר.
- לבדוק כמה admins קיימים.
- לבדוק האם יש משתמשים ללא role.
- לבדוק האם יש roles לא מוכרים.
- לבדוק האם יש משתמשים עם הרשאות חריגות.
- לא להחזיר מידע רגיש מלא — רק סיכום.

2. בדיקת Entities:
- לבדוק Entities מרכזיים שקיימים במערכת.
- לבדוק אם קיימים records חריגים.
- לבדוק אם יש Entities רגישים כמו OTP / invites / tokens / logs.
- לא להדליף secrets או tokens.
- להחזיר findings כלליים בלבד.

3. בדיקת תצורת מערכת:
- לבדוק AppSetting אם קיים.
- לבדוק allowed_domains אם קיים.
- לבדוק email whitelist אם קיים.
- לבדוק האם קיימת הגדרת 2FA אם המערכת תומכת בזה.
- לבדוק האם יש הגדרות חסרות או פתוחות מדי.

4. בדיקת Notifications / Logs:
- לבדוק אם יש שגיאות או אירועים חריגים אם קיימים Entities מתאימים.
- לא למשוך יותר מדי נתונים — להשתמש במגבלות סבירות.

5. יצירת Prompt ל־Codebase Audit:
בסוף הסריקה הפונקציה צריכה ליצור טקסט Prompt מוכן להעתקה לצ׳אט של הבילדר.
ה־Prompt צריך לבקש מהבילדר לסרוק את כל הקוד:
Frontend + Backend + Entities + Functions + RLS + Auth + Secrets usage.

מבנה response מהפונקציה:
{
  "success": true,
  "scan_id": "string",
  "status": "completed",
  "summary": {
    "entities_scanned": number,
    "users_checked": number,
    "findings_count": number,
    "critical_count": number,
    "high_count": number,
    "medium_count": number,
    "low_count": number
  },
  "logs": [
    {
      "timestamp": "string",
      "level": "info | warning | error | success",
      "message": "string"
    }
  ],
  "findings": [
    {
      "category": "string",
      "title": "string",
      "description": "string",
      "severity": "info | low | medium | high | critical",
      "recommendation": "string",
      "affected_entity": "string"
    }
  ],
  "prompt_output": "string"
}

אם הסריקה נכשלת:
{
  "success": false,
  "error": "message"
}

חשוב:
- לא לחשוף secrets.
- לא להחזיר ערכי tokens.
- לא להחזיר OTP.
- לא להחזיר JWT.
- אם מזהים שדה רגיש, לציין שהוא קיים אבל לא להציג את הערך.
- לא למחוק או לשנות דאטה בסריקה.
- הסריקה היא read-only בלבד.

Frontend:
יש ליצור קומפוננטה:
components/settings/SecurityDiagnosticsPanel.jsx

ולהטמיע אותה בעמוד:
pages/Settings.jsx

אם יש עמוד הגדרות קיים:
- להוסיף את הקומפוננטה באזור "הגדרות נוספות" או אזור ניהול.
- לא לשבור פונקציונליות קיימת.
- להציג רק ל־admin.

אם אין עמוד Settings:
- ליצור עמוד Settings.
- לעדכן App.jsx עם Route מתאים.
- אם יש Layout קיים, לעטוף את העמוד באותו Layout.

מבנה UI:

כרטיס ראשי:
- רקע לבן / card.
- פינות עגולות.
- צל עדין.
- Border בצבע כתום בצד ימין או שמאל בהתאם ל־RTL.
- כותרת:
  Security & Diagnostics 🛡️
- תיאור:
  "מרכז אבחון אבטחה מתקדם ואינטגרציה עם FYDN Security Prompts"

בחלק העליון:
- כפתור כתום גדול:
  "Run Full Security Scan"
- אייקון Activity או Zap ליד הטקסט.
- הכפתור disabled בזמן סריקה.
- בזמן סריקה להציג:
  "Running Scan..."

ליד/מתחת הכפתור:
Terminal שחור:
- רקע #111827 או #171717
- טקסט ירוק
- גובה מינימום 150px
- פונט monospace
- פינות עגולות
- מציג את הלוגים בזמן הסריקה:
  - Initializing security audit...
  - Checking user roles...
  - Auditing entities...
  - Checking permissions...
  - Entity audit complete.
  - User role verification complete.
  - Scan complete. Remediation prompt generated.

אם אין עדיין סריקה:
להציג בתוך ה־Terminal:
"Ready to run security diagnostics..."

אחרי סריקה:
להציג באזור Terminal את הלוגים שהגיעו מה־backend.

מתחת ל־Terminal:
כותרת:
"Codebase Audit Prompt (Copy & Paste to Chat)"

ליד הכותרת:
- Chevron icon קטן
- כפתור:
  "Copy to Clipboard"
- אייקון Copy

אזור Prompt:
- כרטיס כהה בצבע navy / slate.
- טקסט לבן בפונט monospace.
- תמיכה בשורות ארוכות ו־pre-wrap.
- להציג את prompt_output מה־backend.

אם עדיין אין prompt:
להציג:
"Run a security scan to generate a codebase audit prompt."

בלחיצה על Copy:
- להעתיק את prompt_output ל־clipboard.
- להציג toast:
  "ה־Prompt הועתק בהצלחה"

אזור Findings:
מתחת ל־Prompt להציג סיכום ממצאים:
כרטיסי סטטיסטיקה:
- Critical
- High
- Medium
- Low
- Info

כל כרטיס בצבע מתאים:
- critical: אדום
- high: כתום
- medium: צהוב
- low: כחול
- info: אפור

מתחת לזה:
רשימת Findings:
כל Finding בכרטיס:
- Severity badge
- Category
- Title
- Description
- Recommendation
- Affected Entity אם קיים

אם אין ממצאים:
להציג Empty State:
"אין ממצאי אבטחה משמעותיים בסריקה האחרונה"

ה־Prompt שנוצר צריך להיות בסגנון הבא:

**SYSTEM SCAN COMPLETE** ⚠️
Data Issues Found:
- No critical data anomalies detected automatically.

To perform a deep CODE security audit, copy the prompt below and run it in this chat immediately:

--- COPY BELOW THIS LINE ---

**Security Audit Request**

Please scan my entire codebase (Frontend & Backend) for the following specific issues:

1. Authentication & Authorization:
- Check all pages/components that expose admin actions.
- Verify that backend functions validate admin permissions server-side.
- Find any frontend-only permission checks that should also exist in backend.
- Check whether role and system_role are handled consistently.

2. Entity Security:
- Review all Entity RLS rules.
- Identify Entities with overly permissive read/write access.
- Identify sensitive Entities that should be admin-only.
- Check User-related logic and avoid manual user creation.

3. Backend Functions:
- Review all functions for missing auth checks.
- Identify functions that use service role without validating user permissions.
- Check webhook functions for signature/shared-secret verification.
- Check imports and Deno.serve structure.

4. Secrets & Sensitive Data:
- Find any hardcoded secrets, API keys, JWTs, tokens, webhooks or private URLs.
- Check whether sensitive values are logged to console.
- Verify secrets are accessed through Deno.env only.

5. Data Safety:
- Find delete/update operations that could affect too much data.
- Check import/export features for admin-only enforcement.
- Check backup/import functions for User entity safety.

6. Frontend Exposure:
- Find hidden admin UI that can still trigger backend calls.
- Check whether sensitive data is rendered in client-side code.
- Check whether URLs expose private IDs or tokens unnecessarily.

7. Recommendations:
For each issue found, return:
- File path
- Risk level
- Description
- Why it matters
- Exact fix recommendation

Please prioritize critical security issues first.

--- END SECURITY AUDIT REQUEST ---

יש לכלול את ה־Prompt הזה בתוך הפונקציה או בקובץ helper כדי שיוחזר ל־Frontend.

אפשר ליצור קובץ:
lib/securityAuditPrompt.js
או לשים את יצירת ה־Prompt בתוך backend function.

עדיף ליצור helper frontend רק לתצוגה, אבל מקור ה־prompt_output הסופי צריך להגיע מה־backend function.

State Management:
ב־SecurityDiagnosticsPanel:
- state: currentUser
- state: isAdmin
- state: scanning
- state: logs
- state: findings
- state: summary
- state: promptOutput
- state: lastScan

התנהגות:
- בעת טעינת הקומפוננטה לבדוק current user.
- אם לא admin להחזיר null.
- כפתור Run Full Security Scan מפעיל את runSecurityAudit.
- בזמן טעינה להציג לוגים מדומים קצרים או לוג "Starting scan..." עד שמגיעה תשובה.
- אחרי תשובה להציג logs, findings, summary, prompt_output.
- לשמור את תוצאת הסריקה האחרונה ב־state.
- לא חובה לשמור ב־localStorage.

אופציונלי:
אם Entity SecurityLog קיים:
- לשמור כל סריקה לתוך SecurityLog.
- להציג "סריקה אחרונה" עם תאריך ושם המשתמש.
- להציג היסטוריית סריקות אחרונות ב־Accordion או רשימה קטנה.

אזור היסטוריית סריקות:
כותרת:
"היסטוריית סריקות אחרונות"
להציג עד 5 סריקות:
- תאריך
- מי הריץ
- סטטוס
- מספר ממצאים
- severity הגבוה ביותר
- כפתור "הצג"

אם אין היסטוריה:
"אין סריקות קודמות"

עיצוב לפי צילום המסך:
- כרטיס ראשי לבן עם פס כתום אנכי בצד.
- Header מיושר לימין.
- בצד ימין למעלה אייקוני Shield כתומים.
- כפתור כתום בולט.
- Terminal שחור עם טקסט ירוק.
- אזור Prompt כהה גדול.
- כפתור Copy לבן קטן.
- הרבה spacing, עיצוב נקי ומקצועי.

קבצים מומלצים:
- components/settings/SecurityDiagnosticsPanel.jsx
- components/security/SecurityTerminal.jsx
- components/security/SecurityPromptBox.jsx
- components/security/SecurityFindingsList.jsx
- components/security/SecurityStatsCards.jsx
- entities/SecurityLog.json
- functions/runSecurityAudit.js

חשוב:
- לא להשתמש בספריות שלא מותקנות.
- לא להשאיר TODO.
- לא להשאיר placeholders.
- לוודא שכל imports קיימים.
- להשתמש ב־toast להודעות הצלחה ושגיאה.
- לבצע טיפול שגיאות ברור למשתמש.
- לשמור על מינימום שינוי בעמוד Settings הקיים.
- לא ליצור פיצ׳רים מעבר למה שביקשתי.
- לבנות את הפיצ׳ר בצורה מלאה, יציבה ומוכנה לשימוש.